модуль microsoft.ad.group — управление объектами групп Active Directory

attributes

словарь

Атрибуты, которые нужно добавить к объекту AD, удалить из него или задать для него.

Значение каждого параметра атрибута должно быть словарём, где ключ — это атрибут LDAP, например firstName, comment, а значение — значение или список значений, задаваемых для этого атрибута.

Значение атрибута может быть необработанной строкой, целым числом или логическим значением, которое нужно добавить, удалить или задать для соответствующего атрибута.

Значение также может быть словарём с ключом type, которому присвоено значение bytes, date_time, security_descriptor или raw, а значение этой записи указывается под ключом value.

Для типа bytes значением является строка в кодировке base64, содержащая необработанные байты для установки.

Для типа date_time значением является строка DateTime в формате ISO 8601. Дата и время задаются как целое число Microsoft FILETIME, то есть количество 100-наносекундных интервалов с 1601-01-01 по UTC.

Для типа security_descriptor значением является строка Security Descriptor SDDL, используемая для атрибута nTSecurityDescriptor.

Для типа raw задаётся целочисленное, строковое или логическое значение.

Строковые значения атрибутов сравниваются с учётом регистра в управляемом объекте AD.

Дополнительные сведения см. в разделе Справка по атрибутам LDAP.

По умолчанию: {}

add

словарь

Словарь всех атрибутов и их значений, которые нужно добавить к управляемому объекту AD, если они ещё не заданы.

Используется для атрибутов, допускающих несколько значений. Если атрибут допускает только одно значение, используйте вместо этого set.

По умолчанию: {}

remove

словарь

Словарь всех атрибутов и их значений, которые нужно удалить из управляемого объекта AD, если они заданы.

Используется для атрибутов, допускающих несколько значений. Если атрибут допускает только одно значение, используйте вместо этого set.

По умолчанию: {}

set

словарь

Словарь всех атрибутов и их значений, которые нужно задать для управляемого объекта AD.

Все существующие значения, не совпадающие с запрошенными, будут заменены.

Порядок значений атрибутов не проверяется; проверяется только то, что для атрибута объекта заданы исключительно запрошенные значения.

Задайте значение null или пустой список, чтобы очистить все значения атрибута.

По умолчанию: {}

category

строка

Категория группы.

При создании новой группы по умолчанию используется security.

Группа security может быть связана со списками управления доступом, тогда как группы distribution обычно связаны со списками рассылки.

Это значение задаётся в атрибуте LDAP groupType.

Варианты:

• "distribution"
• "security"

description

строка

Описание, задаваемое для объекта AD.

Это значение задаётся в атрибуте LDAP description.

display_name

строка

Отображаемое имя, задаваемое для объекта AD.

Это значение атрибута LDAP displayName.

domain_credentials

список / элементы=словарь

Указывает учётные данные, которые следует использовать при работе с сервером, указанным в параметре name.

Чтобы указать учётные данные для сервера домена по умолчанию, используйте запись без ключа name или параметры domain_username и domain_password.

Это значение можно задать в значениях модуля по умолчанию для плейбука в группе group/microsoft.ad.domain.

Дополнительные сведения см. в разделе Аутентификация AD в модулях.

По умолчанию: []

name

строка

Имя сервера, для которого предназначены эти учётные данные.

Это значение должно соответствовать значениям, используемым в других параметрах, указывающих на пользовательский сервер, например в параметре со ссылкой на удостоверение AD, расположенное на другом сервере AD.

В одной записи можно опустить этот ключ, чтобы указать учётные данные по умолчанию, используемые, если сервер не указан, вместо параметров domain_username и domain_password.

password

строка / обязательный

Пароль для подключения к серверу, указанному в параметре name.

username

строка / обязательный

Имя пользователя для подключения к серверу, указанному в параметре name.

domain_password

строка

Пароль для domain_username.

Для указания учётных данных для аутентификации в домене по умолчанию также можно использовать вложенную запись domain_credentials без ключа name.

Это значение можно задать в значениях модуля по умолчанию для плейбука в группе group/microsoft.ad.domain.

domain_server

строка

Указывает экземпляр служб домена Active Directory, к которому следует подключиться.

Можно указать полное доменное имя (FQDN) или имя NetBIOS.

Если значение не указано, используется домен по умолчанию компьютера, на котором запущен PowerShell.

Пользовательские учётные данные можно указать во вложенной записи domain_credentials без ключа name или с помощью параметров domain_username и domain_password.

Это значение можно задать в значениях модуля по умолчанию для плейбука в группе group/microsoft.ad.domain.

domain_username

строка

Имя пользователя для взаимодействия с AD.

Если значение не задано, для аутентификации используется пользователь подключения.

Ansible не сможет использовать пользователя подключения, если аутентификация выполняется не с помощью Kerberos с делегированием учётных данных или CredSSP и не используется become в задаче.

Для указания учётных данных для аутентификации в домене по умолчанию также можно использовать вложенную запись domain_credentials без ключа name.

Это значение можно задать в значениях модуля по умолчанию для плейбука в группе group/microsoft.ad.domain.

homepage

строка

Домашняя страница группы.

Это значение задаётся в атрибуте LDAP wWWHomePage.

identity

строка

Удостоверение объекта AD, используемое для поиска управляемого объекта AD.

Этот параметр необходимо указать, если не задан параметр name, если требуется переименовать объект, задав новое значение name, или если требуется переместить объект в другой path.

Удостоверение может иметь вид GUID, представляющего значение objectGUID, userPrincipalName, sAMAccountName, objectSid или distinguishedName.

Если параметр не указан, управляемый объект AD выбирается по distinguishedName в формате CN={{ name }},{{ path }}. Если параметр path не задан, вместо этого используется defaultNamingContext.

При использовании модуля microsoft.ad.computer к концу sAMAccountName автоматически добавляется $, если по указанному значению объект не найден и это значение ещё не заканчивается на $.

managed_by

любой

Пользователь или группа, управляющие этой группой.

Значение может иметь вид строки distinguishedName, objectGUID, objectSid, sAMAccountName или userPrincipalName либо словаря с ключом name и необязательным ключом server.

Это значение задаётся в атрибуте LDAP managedBy.

Дополнительные сведения о работе поиска DN см. в разделе Атрибуты поиска DN.

members

словарь

Участники группы, которых нужно задать.

Значение — это словарь с тремя ключами: add, remove и set.

Значение каждого вложенного ключа — список значений в виде строки distinguishedName, objectGUID, objectSid, sAMAccountName или userPrincipalName либо словаря с ключом name и необязательным ключом server.

Значение каждого вложенного ключа можно указать в виде строки или словаря с ключом name и необязательным ключом server. Параметр name задаёт удостоверение для поиска, а необязательный параметр server позволяет переопределить сервер AD, на котором будет выполняться поиск удостоверения.

Дополнительные сведения см. в разделе Атрибуты поиска DN.

add

список / элементы=любые

Добавляет указанные субъекты в группу как участников, сохраняя существующих участников, если они не указаны.

lookup_failure_action

строка

Определяет действие при сбое поиска DN.

Значение fail приводит к сбою задачи.

Значение ignore приводит к игнорированию значения и продолжению выполнения.

Значение warn приводит к игнорированию значения и отображению предупреждения.

Варианты:

• "fail" ← (по умолчанию)
• "ignore"
• "warn"

remove

список / элементы=любые

Удаляет указанные субъекты из списка участников группы, сохраняя существующих участников, если они не указаны.

set

список / элементы=любые

Оставляет в группе только указанные субъекты.

Все остальные существующие участники будут удалены из группы, если они не указаны в этом списке.

Задайте пустой список, чтобы удалить из группы всех участников.

name

строка

name объекта AD, которым нужно управлять. Это не sAMAccountName объекта, а запись LDAP cn или name объекта в указанном пути. Чтобы выбрать объект для управления по его sAMAccountName, используйте параметр identity.

Если указан параметр identity, а имя найденного по этому удостоверению объекта не совпадает с этим значением, объект будет переименован.

Этот параметр необходимо указать, если параметр identity не задан.

path

строка

Путь к OU или контейнеру, в котором должен находиться новый объект.

Новый объект будет создан по указанному пути. Если путь не задан, для большинства типов объектов в качестве пути используется defaultNamingContext домена.

Если управляется существующий объект, найденный по параметру identity, путь к нему будет изменён на указанный в этом параметре. Если путь не задан, объект перемещён не будет.

Модули microsoft.ad.computer, microsoft.ad.user и microsoft.ad.group используют собственный путь по умолчанию, настроенный на контроллере домена Active Directory.

Можно задать литеральное значение microsoft.ad.default_path, соответствующее значению по умолчанию, используемому при создании нового объекта.

protect_from_deletion

логический

Защищает объект от случайного удаления.

Для обычного удаления объекта устанавливается запрет на доступ. Прежде чем удалить объект через графический интерфейс или любой другой инструмент, кроме Ansible, эту защиту необходимо снять.

При использовании state=absent объект AD будет удалён, даже если он защищён от удаления.

Варианты:

• false
• true

sam_account_name

строка

Значение sAMAccountName, задаваемое для группы.

Если значение не указано, при создании новой группы используется значение параметра name.

scope

строка

Область действия группы.

Этот параметр обязателен, если задано state=present, а группа ещё не существует.

Дополнительные сведения о различных областях действия групп домена см. в разделе Область действия группы.

Это значение задаётся в атрибутах LDAP groupType.

Варианты:

• "domainlocal"
• "global"
• "universal"

state

строка

Задайте значение present, чтобы обеспечить наличие объекта AD.

Задайте значение absent, чтобы удалить объект AD, если он существует.

Если задано state=present, необходимо также задать параметр name.

Значение absent приводит к рекурсивному удалению объекта AD и всех дочерних объектов, если он является контейнером. Объект AD будет удалён, даже если он защищён от случайного удаления.

Варианты:

• "absent"
• "present" ← (по умолчанию)

check_mode

Поддержка: полная

Можно выполнить в режиме check_mode и получить прогноз изменений без изменения целевого объекта. Если режим не поддерживается, действие будет пропущено.

diff_mode

Поддержка: полная

В режиме diff будут возвращены сведения об изменениях (или о возможных изменениях в режиме check_mode).

platform

Платформа: windows

Целевая ОС и семейства ОС, с которыми можно работать

distinguished_name

string

distinguishedName объекта AD, который был создан, удалён или изменён.

Возвращается: всегда

Пример: "CN=MyGroup,CN=Users,,DC=domain,DC=test"

object_guid

string

objectGUID объекта AD, который был создан, удалён или изменён.

Если новый объект был создан в режиме проверки, будет возвращён GUID, состоящий из нулей.

Возвращается: всегда

Пример: "d84a141f-2b99-4f08-9da0-ed2d26864ba1"

sid

string

Идентификатор безопасности (SID) управляемой группы.

Если новая группа была создана в режиме проверки, значение SID будет равно S-1-5-0000.

Возвращается: всегда

Пример: "S-1-5-21-4151808797-3430561092-2843464588-1104"